Usar a autorização do Microsoft Entra ID para a API do Kubernetes no AKS (Serviço de Kubernetes do Azure)

Aplica-se a: ✔️ AKS Automatic ✔️ AKS Standard

Este artigo mostra como autorizar chamadas para a API do Kubernetes no AKS (Serviço de Kubernetes do Azure) usando identidades Microsoft Entra ID. A autorização do Microsoft Entra ID para a API do Kubernetes usa atribuições de função do Azure RBAC para conceder acesso aos recursos do Kubernetes. Para recursos nativos do Kubernetes, atribua uma das funções internas do AKS (como Leitor de RBAC do Serviço de Kubernetes do Azure) no escopo do cluster ou namespace. Para recursos personalizados (CRDs), atribua uma função personalizada com condições do Azure ABAC que especifiquem a quais grupos ou tipos de CRD o destinatário tem acesso. As duas atribuições de função consistem no seguinte: uma concede acesso a recursos padrão do Kubernetes, e a outra concede acesso condicional a recursos personalizados específicos.

Para a maioria das cargas de trabalho de produção, o AKS Automático é a opção padrão recomendada pronta para produção para o AKS. Os clusters do AKS Automático são pré-configurados com a autorização RBAC do Azure para Kubernetes, para que você possa se concentrar em atribuir as funções corretas do Microsoft Entra a usuários, grupos e entidades de serviço.

Para obter uma visão geral conceitual das opções de autorização de API do Kubernetes disponíveis no AKS, consulte os conceitos de autorização de cluster.

Prerequisites

• Você precisa da CLI do Azure versão 2.24.0 ou posterior instalada e configurada. Execute az --version para encontrar a versão. Se precisar instalar ou atualizar, consulte Instalar CLI do Azure.
• Você precisa kubectl, com uma versão mínima de 1.18.3.
• Você precisa ter a integração gerenciada do Microsoft Entra habilitada no seu cluster antes de poder adicionar a autorização do Microsoft Entra ID para a API do Kubernetes. Se você precisar habilitar a integração gerenciada do Microsoft Entra, consulte Usar a ID do Microsoft Entra no AKS.
• Novas atribuições de função podem levar até cinco minutos para serem propagadas e atualizadas pelo servidor de autorização.
• A autorização do Microsoft Entra ID para a API do Kubernetes exige que o locatário do Microsoft Entra configurado para autenticação seja o mesmo que o locatário da assinatura que hospeda seu cluster do AKS.

Comportamento do modo de cluster do AKS

Criar um novo cluster do AKS com integração gerenciada do Microsoft Entra e autorização do Microsoft Entra ID

AKS Automático (recomendado para cargas de trabalho de produção)

Para novas cargas de trabalho de produção, use o AKS Automatic. O Azure RBAC para autorização do Kubernetes é pré-configurado em clusters AKS Automatic.

1. Crie um cluster automático do AKS seguindo Criar um cluster do AKS (Serviço de Kubernetes do Azure) Automático.

2. Opcional: verifique se a autorização do Azure RBAC para Kubernetes está habilitada em seu cluster usando o comando az aks show.

   # Set environment variables
   export RESOURCE_GROUP=<resource-group-name>
   export CLUSTER_NAME=<cluster-name>
   
   az aks show \
     --resource-group $RESOURCE_GROUP \
     --name $CLUSTER_NAME \
     --query "aadProfile.enableAzureRbac" \
     --output tsv
   

AKS Standard

1. Crie um grupo de recursos Azure usando o comando az group create.

   export RESOURCE_GROUP=<resource-group-name>
   export LOCATION=<azure-region>
   
   az group create --name $RESOURCE_GROUP --location $LOCATION
   

2. Crie um cluster do AKS Standard com integração gerenciada com o Microsoft Entra e autorização do Microsoft Entra ID usando o comando az aks create.

   export CLUSTER_NAME=<cluster-name>
   
   az aks create \
       --resource-group $RESOURCE_GROUP \
       --name $CLUSTER_NAME \
       --enable-aad \
       --enable-azure-rbac \
       --generate-ssh-keys
   

   Seu resultado deve ser semelhante ao seguinte exemplo de saída:

   "AADProfile": {
       "adminGroupObjectIds": null,
       "clientAppId": null,
       "enableAzureRbac": true,
       "managed": true,
       "serverAppId": null,
       "serverAppSecret": null,
       "tenantId": "****-****-****-****-****"
   }
   

Habilitar a autorização do Microsoft Entra ID em um cluster AKS existente

Para clusters do AKS Padrão existentes, habilite a autorização do Microsoft Entra ID para a API do Kubernetes usando o comando az aks update com o sinalizador --enable-azure-rbac.

# Set environment variables
export RESOURCE_GROUP=<resource-group-name>
export CLUSTER_NAME=<cluster-name>

# Enable Microsoft Entra ID authorization for the Kubernetes API
az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --enable-azure-rbac

Os clusters automáticos do AKS já vêm com o Azure RBAC para autorização do Kubernetes pré-configurado. Você não precisa executar --enable-azure-rbac para o AKS Automatic.

Funções predefinidas do AKS

O AKS fornece as seguintes funções internas:

Criar atribuições de função para acesso ao cluster

Criar definições de funções personalizadas

Para recursos integrados do Kubernetes, as definições de funções personalizadas fazem referência às ações do grupo de API correspondente em Microsoft.ContainerService/managedClusters/. O exemplo a seguir permite que um usuário apenas leia as implantações e nada mais. Para obter a lista completa de possíveis ações, consulte as operações Microsoft.ContainerService.

Para recursos personalizados, a função personalizada deve conceder a ação de dados de recursos personalizados aplicável, como Microsoft.ContainerService/managedClusters/customresources/read. Uma função personalizada por si só não filtra o acesso por grupo ou tipo de CRD (definição de recurso personalizado). Para aplicar essa filtragem, adicione uma condição ABAC do Azure à atribuição de função. Para o procedimento completo, consulte Restringir o acesso a recursos personalizados usando condições ABAC.

1. Para criar suas próprias definições de função personalizadas, copie o arquivo a seguir, substitua <YOUR-SUBSCRIPTION-ID> por sua própria ID de assinatura e salve-o como deploy-view.json.

   {
       "Name": "AKS Deployment Reader",
       "Description": "Lets you view all deployments in cluster/namespace.",
       "Actions": [],
       "NotActions": [],
       "DataActions": [
           "Microsoft.ContainerService/managedClusters/apps/deployments/read"
       ],
       "NotDataActions": [],
       "assignableScopes": [
           "/subscriptions/<YOUR-SUBSCRIPTION-ID>"
       ]
   }
   

2. Crie a definição de função usando o comando az role definition create, definindo --role-definition para o arquivo deploy-view.json que você criou na etapa anterior.

   az role definition create --role-definition @deploy-view.json 
   

3. Atribua a definição de função a um usuário ou outra identidade usando o az role assignment create comando.

       # Set environment variables
   export RESOURCE_GROUP=<resource-group-name>
   export CLUSTER_NAME=<cluster-name>
   
   # Get the AKS resource ID
   AKS_ID=$(az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query id --output tsv)
   
   # Create a role assignment for the AKS Deployment Reader role
   az role assignment create --role "AKS Deployment Reader" --assignee <AAD-ENTITY-ID> --scope $AKS_ID
   

Restringir o acesso a recursos personalizados usando condições ABAC (versão prévia)

As condições ABAC permitem filtrar atribuições de função do Microsoft Entra ID para grupos e tipos específicos de recursos personalizados (CRD) – centralmente, direto do Microsoft Entra ID, sem precisar criar manifestos Role e RoleBinding de RBAC do Kubernetes por cluster. Para obter informações sobre Azure ABAC, consulte O que são condições de atribuição de função Azure?

Quando usar condições ABAC

Use esse recurso quando quiser:

• Restrinja quais grupos ou tipos de CRD um designado pode listar ou obter.
• Aplique centralmente limites de acesso a recursos personalizados a partir do Microsoft Entra ID sem precisar gerenciar o RBAC do Kubernetes e os objetos Role e RoleBinding em cada cluster.
• Distinguir entre CRDs publicados por diferentes operadores (por exemplo, permitir secrets-store.csi.x-k8s.io enquanto bloqueia security.istio.io).

Atributos de condição disponíveis

Os seguintes atributos de solicitação estão disponíveis ao criar condições para a API do Kubernetes em um cluster do AKS:

Adicionar uma condição ABAC a uma atribuição de função

O exemplo a seguir cria uma função personalizada de Leitor de CRD do AKS que concede acesso de leitura a recursos personalizados. Em seguida, ele atribui a função com uma condição que só permite acesso a secretproviderclasses no grupo secrets-store.csi.x-k8s.io (o CRD usado pelo provedor do Azure Key Vault para o Secrets Store CSI Driver).

1. Salve a definição de função a seguir em um arquivo nomeado crd-reader.json, substituindo <YOUR-SUBSCRIPTION-ID> por sua própria ID de assinatura.

   {
       "Name": "AKS CRD Reader",
       "Description": "Lets you read custom resources in the cluster.",
       "Actions": [],
       "NotActions": [],
       "DataActions": [
           "Microsoft.ContainerService/managedClusters/customresources/read"
       ],
       "NotDataActions": [],
       "assignableScopes": [
           "/subscriptions/<YOUR-SUBSCRIPTION-ID>"
       ]
   }
   

2. Crie a definição de função usando o az role definition create comando.

   az role definition create --role-definition @crd-reader.json
   

3. Salve a seguinte condição em um arquivo chamado abac-condition.txt. A condição permite que leituras de recursos não personalizados passem inalteradas e restringe leituras de recursos personalizados a um grupo e tipo específicos.

   (
    (
     !(ActionMatches{'Microsoft.ContainerService/managedClusters/customresources/read'})
    )
    OR
    (
     @Request[Microsoft.ContainerService/managedClusters/customResources:group] StringEqualsIgnoreCase 'secrets-store.csi.x-k8s.io'
     AND
     @Request[Microsoft.ContainerService/managedClusters/customResources:kind] StringEqualsIgnoreCase 'secretproviderclasses'
    )
   )
   

4. Crie a atribuição de função com a condição usando o az role assignment create comando.

   # Set environment variables
   export RESOURCE_GROUP=<resource-group-name>
   export CLUSTER_NAME=<cluster-name>
   
   # Get the AKS resource ID
   AKS_ID=$(az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query id --output tsv)
   
   # Create a role assignment for the AKS CRD Reader role with an ABAC condition
   az role assignment create \
       --role "AKS CRD Reader" \
       --assignee <AAD-ENTITY-ID> \
       --scope $AKS_ID \
       --condition "$(cat abac-condition.txt)" \
       --condition-version "2.0" \
       --description "Allow reads on SecretProviderClass resources only"
   

Você também pode adicionar uma condição por meio do portal do Azure. Na página Adicionar atribuição de função , selecione a guia Condições e, em seguida, selecione Adicionar condição e use o editor visual para criar a expressão.

Verificar a condição

Após a propagação da atribuição de função (o que pode levar até cinco minutos), faça login como o usuário designado e confirme se ele consegue ler o CRD autorizado, mas não os demais CRDs.

1. Obtenha as credenciais do cluster usando o az aks get-credentials comando.

   # Set environment variables
   export RESOURCE_GROUP=<resource-group-name>
   export CLUSTER_NAME=<cluster-name>
   
   # Get the cluster credentials
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME
   

2. Lista secretproviderclasses do grupo secrets-store.csi.x-k8s.io, conforme permitido pela condição. O comando deve ter êxito e retornar os recursos existentes ou uma lista vazia (ou um erro não encontrado se o CRD não estiver instalado no cluster).

   kubectl get secretproviderclasses.secrets-store.csi.x-k8s.io --all-namespaces
   

3. Lista authorizationpolicies do grupo Istio security.istio.io que a condição bloqueia. O comando deve falhar com um erro Forbidden direto do webhook de autorização do Microsoft Entra ID (supondo que o CRD do Istio esteja instalado no cluster; caso contrário kubectl retorna um erro de página não encontrada antes que o servidor da API chegue ao webhook de autorização).

   kubectl get authorizationpolicies.security.istio.io --all-namespaces
   

Limpar os recursos

Desabilitar a autorização do Microsoft Entra ID

Remova a autorização do Microsoft Entra ID usando o comando az aks update com a opção --disable-azure-rbac.

# Set environment variables
export RESOURCE_GROUP=<resource-group-name>
export CLUSTER_NAME=<cluster-name>

# Disable Microsoft Entra ID authorization for the Kubernetes API
az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --disable-azure-rbac

Excluir atribuição de função

Excluir definição de função

Exclua uma definição de função personalizada usando o az role definition delete comando.

az role definition delete --name "AKS Deployment Reader"

Excluir o grupo de recursos e o cluster AKS

# Set environment variables
export RESOURCE_GROUP=<resource-group-name>

# Delete the resource group and all resources in it
az group delete --name $RESOURCE_GROUP --yes --no-wait

Conteúdo relacionado

Para saber mais sobre o AKS, confira os seguintes artigos:

• O que é o AKS Automatic?
• Criar um cluster automático do AKS
• Conceitos de autorização de cluster para AKS
• opções de acesso e identidade para AKS
• O que é Azure RBAC?
• Quais são as condições do ABAC do Azure?
• Operações do Microsoft.ContainerService